lockfan 发表于 2007-2-27 21:17:44

关于IPTABLES,求语句写法

RT,想封禁内网中某IP(如192.168.1.200)上网站和登陆QQ,IPTABLES这样写可以吗?

-A INPUT -s 192.168.1.200 -i eth0 -p tcp -m tcp --dport 80 -j DROP
-A INPUT -s 192.168.1.200 -i eth0 -p tcp -m tcp --dport 443 -j DROP
-A INPUT -s 192.168.1.200 -i eth0 -p udp -m udp --dport 8000 -j DROP


以下为ifconfig -a输出结果:
eth0      Link encap:EthernetHWaddr 00:0A:EB:2E:3A:8E
          inet addr:192.168.1.254Bcast:192.168.1.255Mask:255.255.255.0
          inet6 addr: fe80::20a:ebff:fe2e:3a8e/64 Scope:Link
          UP BROADCAST RUNNING MULTICASTMTU:1500Metric:1
          RX packets:755962548 errors:0 dropped:0 overruns:0 frame:0
          TX packets:765067548 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:2643034746 (2.4 GiB)TX bytes:1142790853 (1.0 GiB)
          Interrupt:18 Base address:0xc000

eth1      Link encap:EthernetHWaddr 00:E0:11:02:1E:85
          inet addr:61.185.218.xxxBcast:61.185.218.xxxMask:255.255.255.252
          inet6 addr: fe80::2e0:11ff:fe02:1e85/64 Scope:Link
          UP BROADCAST RUNNING MULTICASTMTU:1500Metric:1
          RX packets:772563576 errors:0 dropped:0 overruns:0 frame:0
          TX packets:760406683 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:2278434328 (2.1 GiB)TX bytes:2756139001 (2.5 GiB)
          Interrupt:16 Base address:0x4000

minde 发表于 2007-3-6 09:02:50

防火墙的思路是先允许,后全部禁止,这样的话便于管理
你可以用以下例句,但是QQ这个东东,只是简单的控制端口好像封不住,除非你80端口也关掉。

-A INPUT -p tcp --dport 80 -j ACCEPT
-A INPUT -j DROP

-A FORWARD -s 192.168.1.200/32 -jACCEPT
-A FORWARD -d 0.0.0.0/0.0.0.0 -j DROP

shepherb 发表于 2007-3-30 21:27:42

您肯定要做NAT了
应该在FORWARD链设置
iptables -P FORWARD DROP
把FORWARD所有数据封掉
iptables -A FORWARD -p tcp ! --dport 80-s 192.168.1.200 -j ACCEPT
把200的WWW服务封掉,此句意思把所有来源200的TCP的非80端口的数据放行通过
iptables -A FORWARD -p udp ! --dport 4000 -s 192.168.1.200 -j ACCEPT
把200的QQ服务封掉,此句意思把所有来源200的UDP的非4000端口的数据放行通过
QQ的端口比较乱,有时8000端口,有时还用80端口,很难封,但可以让他很慢!!
iptables -A FORWARD -s 192.168.1.200 -j DROP
前面已经通过,此处肯定是WWW,QQ的数据,所以对200的数据封掉。
iptables -A FORWARD -s 192.168.1.0/24 -j ACCEPT
把192.168.1.0网段全部通过,但200的已经在前面短掉
iptables -A FORWARD -d 192.168.1.0/24 -j ACCEPT
返回数据

cotacota 发表于 2007-4-8 11:23:28

研究shorwall,可以学到相当多的IPTABLES语句写法。
页: [1]
查看完整版本: 关于IPTABLES,求语句写法